チャーム本店の情報漏洩｜第4報で分かった退会者の分とパスワードの変え方 2026

ペット用品の通販「チャーム本店」を運営する株式会社チャームは2026年10月7日、不正アクセスの第4報を出し、退会済みのお客様の情報約2.5万件も対象になることを確認したと発表しました。 9月の第3報では、利用者と届け先の個人情報について、漏えいが確認されたものが約37万件、漏えいのおそれがあるものが約2万件（合計約39万件）とされ、239名の不正ログインも確認されています。漏えいの対象の項目は、氏名、住所、電話番号、生年月日、メールアドレス、パスワードのハッシュ値などで、クレジットカード情報は含まれていません。 利用者がまずすることは、チャーム本店と同じか似たパスワードを他のサービスで使っていれば変えること、そしてチャームを名乗るメールのリンクを開かず、身に覚えのない請求がないかをカードの明細で確かめることです。

この記事では、2026年10月20日時点で株式会社チャームの公式サイトに掲載されている第1報から第4報までの内容をもとに、何が起きたのか、自分が対象かどうか、漏れた項目に合わせて具体的に何をすればよいかを順に説明します。チャーム本店でペット用品を買っていた人、すでに退会した人、贈り物の届け先として名前を登録された人のどれにも関係する内容です。

チャーム本店の情報漏洩で何が起きたか（2026年10月20日時点）

チャームは、ペット用品の通販を行う会社です。自社の通販サイトである「チャーム本店1号店」「チャーム本店2号店」（発表ではまとめて「チャーム本店サイト」と呼ばれています）のほか、Yahoo!ショッピングや楽天市場などのモールにも支店を出しています。

今回、不正アクセスを受けたのは、自社のチャーム本店サイトです。モールの支店は、安全が確かめられたとして、8月13日から受注を再開しています。

対象の件数は、調査が進むにつれて変わってきました。8月13日の第1報では約23万件について漏えいのおそれがあるとされていましたが、9月の第3報で、漏えいが確認されたものが約37万件、漏えいのおそれがあるものが約2万件、合わせて約39万件になりました。さらに10月7日の第4報で、退会済みのお客様の情報約2.5万件も対象になると分かりました。

第4報の約2.5万件は、第3報の約39万件とは別に調べた退会済みのお客様の分です。約2.5万件のうち大部分は漏えいが確認されており、確かめられる記録が限られている一部のデータは、漏えいの有無を確かめられないため、漏えいのおそれがあるものとして扱われています。

また、第3報の時点で、第三者による不正ログインが確認されたお客様が239名いるとされています。不正ログインとは、本人ではない人が、本人のメールアドレスとパスワードを使ってサイトにログインすることです。不正ログインに使われたメールアドレスとパスワードがどこから手に入れられたのかは、第3報の時点では特定に至っていません。退会済みのお客様については、不正ログインは確認されていないとしています。

チャーム本店サイトは、2026年10月20日時点で停止が続いています。サービスの再開の方針や時期は、準備が整い次第知らせるとしています。8月12日の休店から数えると、停止は2か月を超えています。再開の案内は、チャームの公式サイトのお知らせで確かめてください。再開に合わせてパスワードの変更などをお願いする可能性について、第1報は対応の方法が確定したら改めて案内するとしています。

公表の経緯：第1報（8月13日）から第4報（10月7日）まで

チャームは、この件について公式サイトのお知らせに5本の文書を出しています。日付と、それぞれの時点で分かったことを並べると次のとおりです。

日付	出来事	出典
2026年8月12日	不正アクセスを検知し、関連するサーバーへのアクセスを遮断。10時の時点でチャーム本店を休店し、受注・出荷を停止	第1報
2026年8月13日	第1報を公表（約23万件に漏えいのおそれ）。個人情報保護委員会とJIPDECに報告。本店以外の支店の受注を再開	第1報
2026年8月20日	第2報を公表（本店サイトの停止の継続、支店と電話での注文の案内）	第2報
2026年9月1日	第3報を公表（対象件数の見直し、239名の不正ログイン、個別通知の開始）	第3報
2026年9月2日	第3報の件数を訂正（合計約43万件を約39万件に）。個別通知を開始	第3報（更新）
2026年10月7日	第4報を公表（退会済みのお客様の情報約2.5万件）	第4報

第3報は、9月1日に公表された後、9月2日に件数が訂正されています。訂正の理由は、対象データの中に重複が含まれていたことで、新たな漏えいが分かったからではないと説明されています。訂正の前は、漏えいが確認されたものが約39万件、漏えいのおそれがあるものが約4万件、合計約43万件とされていました。訂正の後は、それぞれ約37万件、約2万件、合計約39万件です。古い数字を見かけたときは、この訂正の前のものだと考えてください。

JIPDECとは、一般財団法人日本情報経済社会推進協会のことで、個人情報の扱いについて国から認められた民間の団体の1つです。チャームは第1報の時点で、個人情報保護委員会とJIPDECに報告したとしています。

2026年10月20日時点で、第4報より後の続報は掲載されていません。チャームは、お客様に知らせるべき重要なことが新たに分かったときは、ホームページで速やかに公表するとしています。

漏えいした項目と含まれない項目

第1報で示された項目を、漏えいの対象になったものと、含まれないと明記されたものに分けると次のとおりです。第3報と第4報では、範囲がお客様ごとに異なるとして、項目の一覧は改めて示されていません。

区分	項目
漏えいの対象（届け先の情報に含まれる）	氏名
同上	住所
同上	電話番号、FAX番号
同上	生年月日
同上	性別
同上	メールアドレス
同上	所持ポイント数
同上	お客様対応に関する社内の記録
同上	パスワードを元に戻せない形にしたデータ（ハッシュ値）
含まれないと明記	クレジットカード情報

第3報と第4報では、「漏えいが確認された情報または漏えいのおそれがある情報の範囲はお客様ごとに異なる」として、対象のお客様には確認された内容に応じて個別に案内するとしています。自分の分でどの項目が対象になったかは、チャームからの個別の案内で確かめることになります。

パスワードのハッシュ値とは

ハッシュ値とは、パスワードを決まった計算で変換し、元の文字列に戻せない形にしたデータのことです。サイトはふつう、パスワードそのものではなくこのハッシュ値を保存しておき、ログインのときに入力されたパスワードを同じ計算にかけて照らし合わせます。チャームも、漏れたのは「パスワードの文字列そのものではありません」と書いています。

ただし、ハッシュ値が漏れても安心とは言い切れません。短いパスワードや、よく使われる言葉を使ったパスワードは、ハッシュ値から推測で当てられることがあるからです。チャームが、同じか似たパスワードを他のサービスで使っている人に変更を求めているのは、そのためです。

届け先として登録された人の情報

第3報と第4報では、チャーム本店サイトを使ったお客様の情報に加えて、過去の注文で届け先として登録された人の個人情報も、漏えいの対象に含まれていることが分かったとしています。たとえば、親や友人にペット用品を贈ったときに、その人の名前と住所を届け先に入れていた場合です。届け先の人は、自分でチャーム本店を使ったことがなくても、対象になっている可能性があります。

件数の読み方：「漏えいが確認された」と「漏えいのおそれ」

チャームの発表には、「漏えいが確認された」と「漏えいのおそれがある」という2つの言葉が使い分けられています。件数を正しく読むために、その違いを整理しておきます。

2つの言葉の違い

「漏えいが確認された」は、記録などから、情報が外に出たことを確かめられたものです。「漏えいのおそれがある」は、確かめられる記録が限られていて、漏えいの有無を確かめられないため、漏えいしたものとして扱っているものです。第3報では、約2万件について「これ以上の調査が困難である」ことから、漏えいのおそれがあるものとしています。

利用者の側から見ると、どちらに入っていても備えは同じです。おそれがある段階で備えておけば、記録の上で確かめられなかったとしても困ることはありません。

件数が増えた理由

第1報の約23万件から、第3報の約39万件へと件数が増えたことについて、チャームは「調査の進展に伴い、漏えいの有無を確認するとともに、対象範囲および対象データを改めて精査したことによるもの」と説明しています。第1報は8月13日に、その時点で確認できた調査結果に基づいて出されたものです。第3報では、件数の見直しとあわせて、チャーム本店サイトを使ったお客様の情報に加え、過去の注文で届け先として登録された人の個人情報も対象に含まれていることが分かったと発表されています。第1報の時点で約23万件という数字を見て、自分は対象外だと思った人も、第3報と第4報の内容で改めて確かめておくと安心です。

第4報の約2.5万件は、第3報の時点で「別途対象となる可能性があり、現在、その対象範囲を確認しております」とされていた退会済みのお客様の分です。第3報の約39万件に加わる形で、新たに対象と確認されたものです。

「件」と「人」

件数は「件」で数えられています。1人のお客様の情報と、そのお客様が登録した届け先の情報が、それぞれ別の件として数えられているかどうかは、発表では説明されていません。約39万件と約2.5万件を足した数が、対象になった人の数とそのまま一致するとは限らないことを知っておくと、ほかの報道の数字と見比べるときに混乱せずに済みます。

原因：チャーム本店サイトへの第三者による不正アクセス

原因について、チャームは「チャーム本店サイトへの第三者による不正アクセス」と発表しています。第1報では、不正ログインの確認期間を2026年7月1日から8月12日までとしています。

どのような手口で入られたのか、システムのどこに弱いところがあったのかは、第4報の時点でも公表されていません。不正ログインに使われたメールアドレスとパスワードの入手経路も、第3報の時点では特定に至っていないとされています。原因の詳しい中身は調査中と発表されている段階です。

第4報では、退会済みのお客様の情報が対象になった理由について、次のように説明しています。

当社では、法令等に基づき一定期間の保存が必要な取引記録の管理や、過去のご注文に関するお問い合わせ対応等のため、退会後も必要な範囲でお客様情報を保管しておりました。本件の調査の結果、これらの保管データの一部も不正アクセスの対象となり、お客様に関する情報が漏えいしたことを確認しております。 出典: charm.co.jp

退会しても、取引の記録などは法律に基づいて一定の期間保存されることがあります。そのため、何年か前に退会した人でも、その保存されたデータが今回の対象になった可能性があるということです。

チャームの対応

第1報から第4報までに発表された対応を整理すると、次のとおりです。発表に書かれていない対応（お詫びの品や補償など）は、2026年10月20日時点では案内されていません。

• 不正アクセスを検知した8月12日に、関連するサーバーへのすべてのアクセスを遮断し、チャーム本店を休店
• 8月13日に、個人情報保護委員会とJIPDECに報告
• 本店以外の支店は、安全を確かめたうえで8月13日に受注を再開
• 第3報で公表した約37万件と約2万件の対象のお客様への個別の連絡を、9月2日から順に開始
• 239名の不正ログインが確認されたお客様に、確認された内容に応じて個別に案内
• 退会済みのお客様には、チャームで確かめられる連絡先を使って順に個別に案内
• 再発防止策の実施と安全管理の体制の強化
• 個人情報を持っておく期間と管理の方法を点検し、法令などで決められた保存期間を過ぎた情報や、持っておく必要がなくなった個人情報を削除する運用の徹底

第4報では、すでに多くのお客様への案内を済ませた一方で、通知先の情報の確認が必要な一部のお客様については、引き続き調査と確認を進めているとしています。

第1報の時点では、不正に参照されたログインIDを使ったチャーム本店への不正ログインや不正注文は、ログの解析の結果確認されていないとされていました。その後の第3報で、239名の不正ログインが確認されたと発表されています。不正ログインの後に確認された影響の内容はお客様ごとに異なるとして、個別に案内するとしています。

自分が対象かを確かめる方法

自分が対象かどうかは、次の順で確かめるのが確実です。

1. チャーム本店1号店か2号店で、会員登録や注文をしたことがあるかを思い出す。モールの支店（Yahoo!ショッピング店、楽天市場店など）だけで買っていた場合は、今回の本店サイトとは別です
2. 登録したメールアドレスに、チャームからの個別の案内が届いていないかを見る。迷惑メールのフォルダも確かめる
3. 案内が届いていても、メールの中のリンクは使わない。内容はチャームの公式サイトのお知らせと照らし合わせる
4. 案内が見つからない、または不安が残るときは、後で紹介するチャームカスタマーサポートに問い合わせる

すでに退会した人は、チャームで確かめられる連絡先に案内が届くとされています。登録したときのメールアドレスを今は使っていない人は、案内を受け取れていない可能性があります。

届け先として名前を登録された人には、チャームから直接連絡できない場合があります。チャームは、届け先として登録したことに心当たりがあり、チャームから直接連絡できない人がいる場合は、できる範囲でその人にこの件を伝えてほしいとお願いしています。チャームからの案内を希望する場合は、問い合わせ窓口に連絡するよう案内しています。

不正ログインの案内や、届け先としての案内を受け取ったら

不正ログインが確認されたという案内を受け取った人

第3報では、第三者による不正ログインが確認された239名のお客様には、確認された内容に応じて個別に案内するとしています。この案内を受け取った人は、チャーム本店のパスワードが第三者に知られていたことになります。同じパスワードを使っているサービスがあれば、すぐに変えます。案内に書かれた影響の内容を読み、身に覚えのない注文や登録の変更があったと書かれていれば、その内容に沿ってチャームの窓口に確かめます。案内の真偽が気になるときは、公式サイトのお知らせと照らし合わせ、窓口には自分で調べた連絡先から問い合わせます。

届け先として登録されていたと知らされた人

家族や知人から「チャームで贈り物をしたとき、あなたを届け先にしていた」と知らされた人は、自分の氏名、住所、電話番号が対象になっている可能性があります。この場合、自分でチャーム本店に登録していなくても、郵便や電話を使った偽の連絡に注意が必要です。チャームからの案内を希望する場合は、問い合わせ窓口に連絡するよう案内されています。

利用者がすること：パスワードの見直し

チャームは、第1報から第4報まで一貫して、チャーム本店サイトと同じか似たパスワードを他のサービスでも使っている場合は、異なるパスワードに変えるようお願いしています。第3報では、チャーム本店サイトでパスワードの変更ができるようになったら、同サイトのパスワードも変えるよう案内しています。

パスワードの見直しは、次の順で進めると効率よく済みます。

1. チャーム本店と同じか似たパスワードを使っているサービスを書き出す。とくに、メールアカウント、ネット通販、ネットバンキング、スマートフォンの決済アプリを優先する
2. それぞれのサービスで、ほかで使っていない長いパスワードに変える。「似たパスワード」には、末尾の数字だけを変えたものも含まれると考えて、まったく別のものにする
3. 覚えきれないときは、パスワード管理のアプリやブラウザの保存機能に任せる
4. 二段階認証が使えるサービスでは有効にする

二段階認証とは、パスワードに加えてスマートフォンに届く確認コードなど、もう1つの手段で本人かどうかを確かめる仕組みのことです。仕組みの種類と選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

自分のメールアドレスとパスワードが、これまでに別の漏えいに巻き込まれていないかを調べておくと、どこから先に変えるべきかの判断材料になります。調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。

カード明細の確かめ方

チャームは、漏えいの対象になった届け先の情報に、クレジットカード情報は含まれていないとしています。この件だけを理由にカードを止める必要は、基本的にありません。

それでも、次のような人は、カードの明細を一度確かめておくと安心です。

• チャームから、不正ログインが確認されたという案内を受け取った人
• チャーム本店と同じか似たパスワードを、ネット通販やカードの会員サイトで使っていた人
• チャームを名乗るメールやSMSのリンクを開き、カード番号を入力してしまった人

明細の確かめ方は、次のとおりです。

1. カード会社の公式アプリか会員サイトを、メールのリンクではなく自分でたどって開く
2. 直近の数か月の利用明細を見て、日付、店名、金額に身に覚えのないものがないかを確かめる
3. 少額の請求も見落とさない。金額が小さいと見過ごしやすいので、1件ずつ確かめる
4. 店名が分かりにくい請求は、明細に載っている問い合わせ先や、カード会社の案内で何の請求かを確かめる
5. 身に覚えのない請求があったら、カードの裏面にある番号でカード会社に連絡する

カード会社によっては、利用があるたびにメールやアプリで知らせる設定があります。設定しておくと、身に覚えのない利用にすぐ気づけます。設定の方法は、各カード会社の公式の案内で確かめてください。

偽のメール・SMS・電話の見分け方

氏名、住所、電話番号、メールアドレスがそろって漏れると、それを使った偽の連絡に注意が必要になります。漏れた項目から考えると、次のような連絡に気をつける必要があります。

• 「チャーム本店の再開にあたり、会員情報の再登録をお願いします」としてリンクを開かせるメール
• 「お詫びのポイントを付与しました」「所持ポイントが失効します」と、ポイントに触れるメールやSMS
• 「返金の手続き」「補償の受け取り」を名乗り、カード番号や口座番号を入力させるページ
• 生年月日や性別に合わせた誕生月の特典などを装い、本人向けの案内に見せかけるメール

2026年10月20日時点で、チャームはポイントの付与や返金、補償を配る案内は出していません。発表にない手続きを持ちかける連絡が来たら、その時点で偽物を疑ってよいでしょう。

見分けるときの基本は、届いた連絡の中のリンクや電話番号を使わないことです。本当に手続きが必要なら、チャームの公式サイトのお知らせにも同じ案内が出ます。電話の場合は、いったん切って、公式サイトに載っている番号にかけ直します。チャームは、電話での問い合わせでも、対象のお客様の確認や本人確認が必要な内容はメールでの問い合わせを案内するとしています。

住所が漏れたときに起きることと、防ぎ方の順番は個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく説明しています。判断に迷ったときは、消費者ホットライン（局番なしの188）で、近くの消費生活センターにつながります。消費者庁の消費者ホットラインのページに案内があります。

問い合わせ窓口と、停止中の注文の方法

第4報で案内されている問い合わせ窓口は次のとおりです。

項目	内容
窓口の名称	チャームカスタマーサポート
メール	[email protected]（24時間受付）
フリーダイヤル	0120-89-4828（受付時間 8時から17時、年中無休）
つながらない場合や携帯電話	0276-88-4828
FAX	0276-88-2832（24時間受付）

チャームは、電話で問い合わせた場合でも、対象のお客様の確認や本人確認が必要な内容については、メールでの問い合わせを案内するとしています。問い合わせのときは、公式サイトに載っているアドレスと番号を自分で入力して使います。届いたメールに返信する形で問い合わせると、そのメールが偽物だった場合に、相手に自分の情報を渡すことになります。メールで問い合わせるときは、新しくメールを作り、宛先に公式サイトのアドレスを入れて送ります。

チャーム本店サイトが停止している間も、第2報では、Yahoo!ショッピング店、楽天市場店などの各支店は通常どおり使えると案内されています。また、本店の扱いとして電話での注文も受け付けており、電話の注文ではPayPay払い、カード決済、NP後払いは使えませんが、それ以外の決済方法は使えるとしています。

経緯の全体は、チャームの第4報と第3報で確かめられます。会社の対応について一般的な相談をしたいときは、個人情報保護委員会の個人情報保護法相談ダイヤルも使えます。受付は平日の9時30分から17時30分（土日祝日と年末年始を除く）で、電話での相談のみ受け付けています。

在宅で仕事をする人が気をつけること

ペット用品の通販は私用で使うことが多いサービスですが、在宅で仕事をしている人の中には、仕事用のメールアドレスで登録した人や、取引先への贈り物の届け先を入力した人もいるはずです。

仕事のアドレスとパスワードを分ける

仕事用のメールアドレスで登録し、仕事で使うサービスと同じパスワードを使っていた場合は、仕事のアカウントのパスワードを最初に変えます。仕事のメール、ファイル共有、請求書の発行、取引先とのチャットなどのアカウントが乗っ取られると、自分だけでなく取引先にも迷惑が及びます。

取引先を届け先にしていた場合

取引先の担当者に贈り物を送るとき、その人の名前と住所を届け先に入れていた場合は、その情報が漏えいの対象になっている可能性があります。チャームは、届け先として登録したことに心当たりがあり、チャームから直接連絡できない人がいる場合は、できる範囲でその人に伝えてほしいとお願いしています。取引先の担当者には、事実をそのまま伝え、チャームからの案内を希望する場合は窓口に連絡できることを添えるのが丁寧です。

取引先に知らせる必要はあるか

自分の情報が漏れただけなら、この件だけを理由に取引先へ報告する義務が生じるわけではありません。一方で、取引先から個人情報を預かって仕事をしている人は、自分の側で漏えいが起きたときの考え方を知っておく必要があります。

個人情報保護委員会の漏えい等の対応とお役立ち資料では、不正アクセスのように不正な目的で行われたおそれがある漏えいや、1,000人を超える人の情報の漏えいは、事業者が委員会に報告しなければならない場合として挙げられています。不正な目的によるものは、発覚した日から60日以内の報告が案内されています。報告するのは基本的に情報を預けた取引先ですが、その判断には受け手からの速やかな連絡が欠かせません。細かな扱いは契約の中身や情報の種類で変わるので、迷ったときは取引先と相談し、必要なら個人情報保護委員会の相談ダイヤルで確かめます。

退会しても情報が残ることをどう考えるか

第4報で目立つのは、退会したお客様の情報まで対象になったことです。退会しても、取引の記録などは法律に基づいて一定の期間保存されることがあり、チャームもそのために退会後も必要な範囲で情報を保管していたと説明しています。

チャームは第4報で、所定の保存期間を過ぎた情報や、持っておく必要がなくなった個人情報を削除する運用を徹底するとしています。利用者の側でできるのは、使わなくなったサービスを退会することに加えて、登録する情報を必要なものだけにしておくことです。届け先として人の名前と住所を登録するときも、その人の情報を預けることになると意識しておくと、扱いが丁寧になります。

会社の対策の考え方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で、規模の小さな会社でも取り組める対策と使える補助金を紹介しています。偽メールを見抜く力の育て方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで整理しています。

アカウントの整理は仕事の信用にもつながる

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営で見てきた範囲では、長く仕事を続けている人ほど、使っているサービスとパスワードを自分で把握しています。私用の通販と仕事のアカウントでパスワードを分ける、使わなくなったサービスは退会する、取引先の情報は必要な場面でだけ入力する。こうした習慣は、今回のような件で影響を小さくするだけでなく、取引先から「この人に情報を預けて大丈夫か」と見られたときの信頼にもなります。セキュリティの知識を生かせる在宅の仕事の種類はAI・マーケティング・セキュリティのお仕事で紹介しています。

2026年10月20日時点で、チャームの発表は第4報までで、チャーム本店サイトは停止が続いています。続報や再開の案内は、チャームの公式サイトのお知らせで確かめ、メールで届いたリンクではなく自分でたどったページの情報を基準にしてください。

よくある質問

Q. チャーム本店の情報漏洩でクレジットカード情報は漏れましたか？

株式会社チャームの第1報では、漏えいの対象になった届け先の情報に、クレジットカード情報は含まれていないとしています。この件だけを理由にカードを止める必要は基本的にありません。ただし、不正ログインの案内を受け取った人や、同じパスワードを他で使っていた人は、カードの明細に身に覚えのない請求がないかを確かめておくと安心です。

Q. すでに退会していても対象になりますか？

2026年10月7日の第4報で、退会済みのお客様の情報約2.5万件も対象になることが確認されたと発表されています。退会後も取引記録の管理などのために必要な範囲で情報を保管しており、その一部が不正アクセスの対象になったと説明されています。対象の人には、チャームで確かめられる連絡先に順次個別に案内するとしています。

Q. パスワードはどう変えればよいですか？

チャームは、チャーム本店サイトと同じか似たパスワードを他のサービスで使っている場合は、異なるパスワードに変えるよう案内しています。末尾の数字だけを変えたものではなく、まったく別の長いパスワードにします。チャーム本店サイトでパスワードを変えられるようになったら、同サイトのパスワードも変えるよう案内されています。

Q. 問い合わせはどこにすればよいですか？

チャームカスタマーサポートのメール（[email protected]、24時間受付）か、フリーダイヤル0120-89-4828（8時から17時、年中無休）に問い合わせられます。つながらない場合や携帯電話からは0276-88-4828です。本人確認が必要な内容は、電話で問い合わせてもメールでの問い合わせを案内されることがあります。